Identity fraud: Unterschied zwischen den Versionen

(Vgl. zur folgenden Aufzählung Paget 2007, S. 6 f.)

* '''Phishing''': Als ''Phishing'' wird der betrügerische Versuch bezeichnet, vertrauliche Information wie Benutzernamen, Kennwörter und Kreditkartendetails zu erwerben; die Täter geben sich meist als  Mitarbeiter vertrauenswürdiger Institutionen wie Banken oder von ''social web sites'' (Facebook, MySpace), Auktionshäusern (Ebay) oder Providern (Yahoo, Hansenet etc.) aus. ''Phishing'' wird, in seiner klassischen Variante, mittels eMail oder ''Instantmessaging''-Programme (ICQ, Skype etc.) durchgeführt. Dabei werden ungezielt Emails an zahlreiche Empfänger versendet; bei einer großen Empfängergruppe ist die Wahrscheinlichkeit höher, tatsächliche Nutzer der entsprechenden Bank oder Benutzer bestimmter Internetseiten zu erreichen, als bei einer kleineren Empfängergruppe. Derartige Spam-Mails erreichen mitunter mehrere Millionen Emailadressen; das Bochumer Sicherheitsunternehmen G Data hat in einer Studie festgestellt, dass der Versand von 20 Millionen Spam-Mails für einen Preis von gerade einmal 350 Euro im Internet zu erwerben ist. [http://www.thexblog.de/?p=1950] Die Opfer einer Phishing-Attacke werden zunächst in der Mail auf eine vermeintliche Verbesserung der Sicherheit oder des Service-Angebotes des jeweiligen Unternehmens hingewiesen; zudem wird die Dringlichkeit der Teilnahme an diesen Maßnahmen betont. Diese Phase wird als ''Trägerangriff'' oder ''Trägerphase'' bezeichnet (vgl. Schneider 2007, S. 4). In den meisten Emails ist eine Web-Verknüpfung beigefügt, die auf eine scheinbar authentische Internetseite verweist; dort geben die Opfer personenbezogene Informationen (Kontonummer, Transkationsnummern (TANs), Kredikartennummer, Kennwörter) in eine vorgefertigte Makse ein. Was dann folgt, soll nur noch nachträgliches Misstrauen des Opfers zerstreuen – eine kurze Bestätigung oder eine falsche Fehlermeldung.Die Internetseiten sind oftmals kaum von den echten Internetseiten des jeweiligen Unternehmens zu unterscheiden; die hier eingegebenen Daten werden gesammelt und anschließend benutzt oder im Internet verkauft.''Phishing'' ist ein Beispiel für ''social engineering''-Techniken. Dadurch, dass die klassischen ''Phishing''-Methoden mittlerweile allgemein bekannt sind, bedienen sich die Phisher neuerer Methoden. So wird z.B. versucht ''Trojaner'' – also einem Computerprogramm, das als nützliche Anwendung getarnt ist, im Hintergrund aber ohne Wissen des Anwenders eine andere Funktion erfüllt – auf die Systeme der Opfer einzuschleusen. Dies geschieht z.B. wenn das Opfer einen Anhangs einer Phishing-Mail (PDF-Dokument, auszuführende Programmdatei etc.) öffnet. Diese Schadsoftware (''malware'') installiert meist einen ''Keylogger''; mit diesem können die Tastatureingaben des Opfers belauscht werden, ohne dass das Opfer davon Kenntnis nimmt. Somit können auch TANs und PINs vom Phisher abgehört werden (vgl. Schneider 2007, S. 22). Ferner ist es dem Phisher möglich, das Versenden bestimmter Informationen wie einer TAN zu verhindern, sodass diese ihm unbenutzt zur Verfügung steht.